Ransomware Tabletop Exercise: der Testlauf für den Krisenstab

950 dokumentierte Ransomware-Angriffe in nur zwölf Monaten, die überwiegende Mehrheit gegen kleine und mittlere Unternehmen: So fasst der BSI-Lagebericht 2025 die Bedrohungslage zusammen. Ransomware bleibt damit die größte Cybergefahr für die deutsche Wirtschaft. Laut der Bitkom-Wirtschaftsschutzstudie war jedes dritte Unternehmen (34 Prozent) innerhalb eines Jahres von Ransomware betroffen, 15 Prozent haben bereits Lösegeld gezahlt. Die entscheidende Frage lautet deshalb nicht mehr, ob der Ernstfall eintritt, sondern ob der Krisenstab vorbereitet ist. Genau hier setzt die Ransomware Tabletop Exercise an.

Was ist eine Ransomware Tabletop Exercise?

Eine Ransomware Tabletop Exercise ist eine moderierte Planübung, in der der Krisenstab ein realistisches Verschlüsselungsszenario „am Tisch“ durchspielt – ohne dass reale Systeme angefasst werden. Anders als ein technischer Penetrationstest zielt sie auf Entscheidungen, Kommunikation und Zusammenarbeit: Wer ruft den Krisenstab zusammen? Wann wird die Geschäftsführung informiert, wann die Aufsichtsbehörde, wann die Strafverfolgung? Zahlen wir – und wenn nein, wie halten wir den Betrieb aufrecht?

Die Teilnehmer kommen aus allen relevanten Bereichen: Geschäftsführung, IT und Informationssicherheit, Recht und Datenschutz, Unternehmenskommunikation sowie – je nach Szenario – externe Dienstleister wie Incident-Response-Teams oder Versicherer. Ein Moderator führt durch das Szenario, wirft neue Informationen („Injects“) ein und dokumentiert Entscheidungen und offene Punkte. Am Ende steht kein Sieg oder Verlust, sondern eine ehrliche Standortbestimmung.

Warum der Krisenstab den Ernstfall proben muss

Ein Ransomware-Angriff erzeugt eine Drucksituation, die sich mit einem Aktenordner nicht simulieren lässt. Systeme sind verschlüsselt, die gewohnten Kommunikationswege – E-Mail, Telefonie, Kollaborationsplattformen – fallen möglicherweise gleichzeitig aus. Innerhalb weniger Stunden müssen Entscheidungen getroffen werden, die weitreichende rechtliche, finanzielle und reputationsbezogene Folgen haben. Der produzierende Sektor in Deutschland ist besonders betroffen: Rund jeder fünfte erfolgreiche Vorfall trifft die Industrie, wo ein Produktionsstillstand pro Tag sechsstellige Summen kosten kann.

Ein Plan, der nie unter Druck getestet wurde, ist eine Annahme – keine Fähigkeit. Die Tabletop Exercise deckt genau die Lücken auf, die im Ernstfall teuer werden: unklare Eskalationswege, fehlende Vertretungsregelungen, veraltete Kontaktlisten, ungeklärte Entscheidungsbefugnisse. Wer diese Schwachstellen in einer Übung entdeckt, korrigiert sie zu einem Bruchteil der Kosten eines realen Vorfalls.

Wer gehört an den Tisch?

Die Qualität einer Übung steht und fällt mit den Teilnehmern. Ein Ransomware-Vorfall ist eine bereichsübergreifende Krise, deshalb gehören mehr als IT-Fachleute an den Tisch. Bewährt hat sich ein Kern aus fünf Perspektiven: Die Geschäftsführung entscheidet über Grundsatzfragen wie eine mögliche Zahlung und trägt die Verantwortung nach außen. Die IT und Informationssicherheit liefert das technische Lagebild und steuert die Wiederherstellung. Recht und Datenschutz bewerten Melde- und Informationspflichten, etwa gegenüber Aufsichtsbehörden und Betroffenen. Die Unternehmenskommunikation steuert die Botschaften an Kunden, Mitarbeitende und Medien. Und je nach Szenario ergänzen externe Partner – Incident-Response-Dienstleister, Cyberversicherer oder Ermittlungsbehörden – die Runde.

Gerade das Zusammenspiel dieser Rollen ist es, das im Ernstfall über Tempo und Qualität der Reaktion entscheidet. Eine Übung, an der nur die IT-Abteilung teilnimmt, testet einen Ausschnitt – nicht die Krise.

Der Ablauf: von der Vorbereitung bis zur Auswertung

1. Vorbereitung und Zieldefinition

Bevor das erste Szenario gespielt wird, legt das Übungsteam die Ziele fest: Soll der Meldeprozess getestet werden, die Zusammenarbeit zwischen IT und Geschäftsführung oder die Entscheidung über eine Lösegeldzahlung? Ebenso werden Teilnehmerkreis, Rollen und die Regeln der Übung definiert. Ein gutes Szenario ist branchennah und realistisch, aber nicht überladen.

2. Das Szenario und die Injects

Das Szenario beginnt typischerweise mit einer Erstmeldung: Mehrere Server sind verschlüsselt, eine Lösegeldforderung liegt vor. Im Verlauf der Übung wirft der Moderator neue Informationen ein – etwa dass Kundendaten abgeflossen sind, die Presse anfragt oder ein zweites Standortnetz betroffen ist. Diese Injects zwingen den Krisenstab, unter unvollständiger Information zu entscheiden und Prioritäten neu zu setzen.

3. Durchführung und Dokumentation

Während der zwei bis vier Stunden dauernden Übung arbeitet der Krisenstab das Szenario ab. Ein Protokollant hält Entscheidungen, Begründungen und offene Fragen fest. Wichtig ist eine offene Fehlerkultur: Die Übung ist ein geschützter Raum, in dem Unsicherheiten sichtbar werden dürfen, ohne Konsequenzen für Einzelne.

4. Auswertung und Maßnahmenplan

Der eigentliche Wert entsteht in der Nachbesprechung. Was hat funktioniert, wo hakte es, welche Dokumente fehlten? Aus den Erkenntnissen wird ein konkreter Maßnahmenplan mit Verantwortlichen und Fristen. Erst dieser Schritt macht aus einer Übung eine Verbesserung – und liefert zugleich den Nachweis, dass geübt wurde.

Die schwierigste Frage: zahlen oder nicht?

Kaum eine Entscheidung ist im Ernstfall so umstritten wie die über eine Lösegeldzahlung – und kaum eine eignet sich besser für eine Tabletop Exercise. Behörden wie das BSI und das BKA raten grundsätzlich von Zahlungen ab: Sie finanzieren kriminelle Strukturen, garantieren keine vollständige Wiederherstellung und machen ein Unternehmen zum wiederkehrenden Ziel. Dass 15 Prozent der betroffenen Unternehmen dennoch gezahlt haben, zeigt jedoch, wie groß der Druck im Ernstfall ist.

Die Übung ist der richtige Ort, um diese Frage vor der Krise zu durchdenken: Welche Kriterien gelten? Wer ist entscheidungsbefugt? Welche rechtlichen Rahmenbedingungen – etwa Sanktionslisten – sind zu beachten? Wer erst im verschlüsselten Ernstfall über die Grundsatzfrage streitet, verliert wertvolle Stunden. Ein im Vorfeld abgestimmter Entscheidungsrahmen nimmt Tempo aus dieser Debatte und schafft Handlungssicherheit.

Tabletop, Simulation oder Ernstfallübung?

Die Tabletop Exercise ist eine von mehreren Übungsformen und lässt sich gut als Einstieg nutzen. Sie ist diskussionsbasiert, benötigt keine technische Infrastruktur und ist mit überschaubarem Aufwand umsetzbar. Darauf aufbauend prüfen umfangreichere Formate die Reaktion realitätsnäher: Eine Cyber-Krisenübung mit Live-Elementen bezieht reale Kommunikationswege und Zeitdruck ein, während eine vollständige Krisensimulation ganze Abläufe unter nahezu echten Bedingungen durchspielt. Sinnvoll ist ein aufeinander aufbauendes Übungsprogramm: erst die Grundlagen am Tisch festigen, dann den Realitätsgrad schrittweise steigern.

Ransomware Tabletop Exercise, ISO 22301 und die regulatorische Pflicht

Übungen sind kein „Nice-to-have“, sondern in vielen Rahmenwerken fest verankert. ISO 22301, die internationale Norm für Business Continuity Management, verlangt in Abschnitt 8.5 ausdrücklich ein Übungs- und Testprogramm: Kontinuitätspläne müssen regelmäßig geprüft werden, um ihre Wirksamkeit zu belegen. Eine Tabletop Exercise ist dafür ein etabliertes und ressourcenschonendes Format.

Auch die deutschen und europäischen Regelwerke weisen in dieselbe Richtung. Der BSI IT-Grundschutz adressiert im Baustein ORP.4 das Notfallmanagement, ISO 27001 fordert in den Anhängen A.5.24 und A.5.30 die Vorbereitung auf Informationssicherheitsvorfälle und Betriebskontinuität. Mit NIS2 kommt für viele Unternehmen eine ausdrückliche Sorgfaltspflicht hinzu: Wesentliche und wichtige Einrichtungen müssen nachweisbare Maßnahmen zur Bewältigung von Sicherheitsvorfällen treffen. Wichtig zur Einordnung: NIS2 schreibt keine spezifische Übungsform vor, verlangt aber ein wirksames Risiko- und Krisenmanagement – und eine dokumentierte Tabletop Exercise ist ein belastbarer Baustein dieses Nachweises.

Häufige Fehler – und wie Sie sie vermeiden

• Nur die IT übt. Ransomware ist eine Unternehmenskrise, keine IT-Störung. Ohne Geschäftsführung, Recht und Kommunikation bleibt die Übung unvollständig.
• Das Szenario ist zu einfach. Ohne belastende Injects – Datenabfluss, Medienanfragen, Zeitdruck – bestätigt die Übung nur, was ohnehin bekannt ist.
• Keine Nachbereitung. Wer keinen Maßnahmenplan ableitet, verschenkt den eigentlichen Nutzen.
• Einmalig statt regelmäßig. Fachleute empfehlen mindestens jährliche Übungen, in kritischen Sektoren halbjährlich. Personal und Prozesse ändern sich – ein einmal geübter Plan veraltet schnell.

Lehren für Entscheider

Die Zahlen des BSI und von Bitkom lassen wenig Spielraum: Ransomware trifft Unternehmen jeder Größe, und der teuerste Fehler ist, unvorbereitet zu sein. Eine Ransomware Tabletop Exercise ist die kostengünstigste Art, die Handlungsfähigkeit des Krisenstabs zu prüfen, bevor es der Angreifer tut. Sie schafft Klarheit über Rollen und Eskalationswege, deckt Lücken in Plänen und Kontaktlisten auf und erfüllt zugleich Nachweispflichten aus ISO 22301 und NIS2.

Der Einstieg ist unkompliziert: ein realistisches Szenario, die richtigen Personen am Tisch, ein erfahrener Moderator und eine ehrliche Auswertung. Wer den Ernstfall regelmäßig probt, verwandelt einen Notfallplan in echte Handlungsfähigkeit – und genau das entscheidet in den ersten Stunden eines Angriffs über Schaden oder Beherrschbarkeit. Ein strukturiertes Cyber-Krisenmanagement-Training hilft, diese Übungen professionell aufzusetzen und den Krisenstab systematisch vorzubereiten.